Sicurezza

SyncID elabora dati sensibili tra cui informazioni sui dipendenti, template biometrici e registrazioni presenze. Questa guida copre l’architettura di sicurezza, le protezioni integrate e le misure di rafforzamento consigliate.

Architettura di sicurezza

Isolamento di rete

SyncID è progettato per la distribuzione esclusivamente in LAN. Tutte le comunicazioni avvengono all’interno della rete locale:

• Comunicazione con i dispositivi: porta TCP 4370 (SyncID → dispositivi)
• API SyncrOne: HTTP/HTTPS tramite LAN
• Database: SQL Server tramite LAN
• Non sono necessarie connessioni in entrata da Internet

Sovranità dei dati

• I dati biometrici (template di impronte digitali, template facciali) rimangono sui dispositivi e nel database locale
• Le registrazioni presenze sono memorizzate nella Sua istanza SQL Server
• Nessun dato viene trasmesso a servizi cloud — SyncID non ha dipendenze dal cloud
• Tutta l’elaborazione dei dati avviene all’interno della Sua infrastruttura

Protezioni integrate

Protezione	Descrizione
Autenticazione sicura	Hashing delle password e gestione delle sessioni secondo gli standard di settore
Protezione anti-forgery	Protezione contro attacchi cross-site request forgery su tutti i moduli
Accesso basato sui ruoli	I ruoli Admin e Utente limitano le funzionalità
Traccia di audit completa	Tutte le modifiche tracciate con metadati chi/quando
Anti-enumerazione	La reimpostazione della password non rivela se un utente esiste
Tentativo automatico	Resilienza contro errori di connessione transitori
Isolamento dei guasti	Le interruzioni dei servizi esterni non si propagano ad altre funzionalità

Raccomandazioni per il rafforzamento

Autenticazione

1. Modificare la password dell’amministratore predefinito immediatamente dopo l’installazione
2. Abilitare il blocco dell’account per prevenire attacchi di forza bruta
   • Raccomandazione: 5 tentativi, finestra di blocco di 15 minuti
3. Utilizzare password forti — imporre una lunghezza minima di 12 o più caratteri
4. Limitare gli account amministratore — concedere il ruolo admin solo a chi ne ha effettivamente bisogno

Gestione dei segreti

1. Non condividere le credenziali — le password del database, le chiavi API e gli URL dei webhook devono essere mantenuti riservati
2. Limitare i permessi dei file sulla directory di configurazione
3. Ruotare le chiavi API periodicamente

Sicurezza di rete

1. Limitare l’accesso alla rete verso l’host SyncID:
   • Consentire le connessioni solo dalle postazioni degli amministratori e dalle subnet dei dispositivi
   • Bloccare l’accesso dalle reti dell’ufficio generiche se non necessario
2. Utilizzare HTTPS per l’interfaccia web di SyncID
   • Configurare un certificato SSL sul server
   • Abilitare HSTS (HTTP Strict Transport Security)
3. Regole del firewall:
   • Consentire TCP 4370 solo tra l’host SyncID e la subnet dei dispositivi
   • Consentire HTTP/HTTPS solo per l’endpoint dell’API SyncrOne
   • Bloccare tutte le altre connessioni in entrata
4. VLAN dedicata per i dispositivi — posizionare i dispositivi di rilevazione presenze su un segmento di rete dedicato

Sicurezza del database

1. Utilizzare un account di servizio dedicato per l’accesso al database (non l’account amministrativo)
2. Abilitare le connessioni crittografate per il traffico del database in produzione
3. Limitare l’accesso al database alla sola applicazione SyncID
4. Backup regolari memorizzati in una posizione separata e ad accesso controllato

Monitoraggio

1. Esaminare la dashboard di integrità regolarmente per cambiamenti di stato imprevisti
2. Tracciare i tentativi di accesso falliti nella traccia di audit
3. Configurare le notifiche Teams per avvisi immediati in caso di degradazione dell’integrità

Protezione dei dati (GDPR)

Poiché SyncID elabora dati personali e dati biometrici dei dipendenti:

1. Titolare del trattamento: La Sua organizzazione è il titolare del trattamento per tutti i dati elaborati da SyncID
2. Accordo sul trattamento dei dati: Se Galileo d.o.o. fornisce servizi di supporto che comportano l’accesso ai dati, deve essere in atto un DPA
3. Dati biometrici: Classificati come dati di categoria speciale ai sensi dell’Articolo 9 del GDPR — assicurarsi di avere una base giuridica per il trattamento
4. Minimizzazione dei dati: Sincronizzare solo i dipendenti che necessitano dell’accesso ai dispositivi
5. Conservazione: Stabilire una politica di conservazione per le registrazioni presenze e i log di audit
6. Diritto alla cancellazione: Assicurarsi che esistano procedure per la rimozione permanente dei dati quando richiesto dalla legge

Risposta agli incidenti

In caso di sospetto incidente di sicurezza:

1. Isolare — disconnettere l’host SyncID dalla rete se necessario
2. Valutare — esaminare la traccia di audit e i log per accessi non autorizzati
3. Contenere — modificare tutte le password e le chiavi API
4. Ripristinare — effettuare il ripristino da un backup integro se l’integrità dei dati è compromessa
5. Segnalare — notificare le parti interessate secondo la politica di risposta agli incidenti della Sua organizzazione e i requisiti del GDPR

Correlati

• Utenti e ruoli — configurazione del controllo degli accessi
• Impostazioni — riferimento per la configurazione
• Disaster Recovery — procedure di ripristino